8BitSecurity

Negli ultimi giorni, il mondo della sicurezza informatica si è intrecciato con la politica italiana, al centro di uno dei più grandi casi di spionaggio degli ultimi decenni. Ma come spesso accade in Italia quando si parla di cybersecurity, il dibattito pubblico si perde tra opinioni vaghe e commenti retorici.

“Inchiesta Hacker” è il nome che i media hanno scelto per descrivere il caso di acquisizioni illecite da banche dati strategiche, portato alla luce dalle indagini della Dda di Milano e della Dna. La vicenda ha generato un vortice di opinioni, dai giudizi severi sull’inefficacia del controspionaggio italiano alla mancanza di adeguate misure di sicurezza, fino a commenti sarcastici che evocano “l’Italia dei dossier e degli scimpanzé”. Ma, a distanza di giorni, cosa sappiamo veramente dal punto di vista della cybersecurity?

In questo articolo cerchiamo di fare chiarezza proprio su questo punto, per sfatare il mito di “insicurezza” informatica che si sta creando in Italia.

Procediamo con ordine e, prima di esporre il nostro pensiero, ricostruiamo la vicenda.

Cosa è successo

Per evitare di ripetere i fatti ormai noti, riportiamo una breve sequenza temporale per ricapitolare la vicenda:

• 26 ottobre: Un’inchiesta della Direzione Distrettuale Antimafia rivela furti di dati dalle banche dati italiane, ad opera della società Equalize, composta di consulenti informatici e appartenenti a forze dell’ordine. Secondo le indiscrezioni, avrebbero prelevato “migliaia” di informazioni riservate, tra cui dati sanitari, penali e fiscali dietro commissione.
• 27 ottobre: Tra le indiscrezioni emerge anche la possibile compromissione dell’email istituzionale del Presidente della Repubblica, Mattarella. Ulteriori sviluppi collegano il gruppo indagato, la società Equalize, a possibili rapporti con la mafia e servizi segreti esteri, ampliando la gravità delle accuse.
• 28 ottobre: Si individuano circa 800 mila vittime dell’attività di dossieraggio, tra cui molti personaggi di spicco. Le principali figure politiche coinvolte sottolineano la gravità della vicenda, chiedendo chiarezza e provvedimenti per contrastare i crimini informatici e proteggere i dati dei cittadini.

L’Inchiesta Hacker: ma dove sono gli hacker?

Ciò detto, mettiamo da parte gli scandali politici che lasciamo approfondire a chi di competenza, ed entriamo nel merito della faccenda da un punto di vista della cybersecurity, sicuramente a noi più congeniale.

Quello che possiamo affermare con certezza è che, fino ad oggi, non sono stati divulgati dettagli specifici su attacchi informatici orchestrati dalla società Equalize.

Le informazioni divulgate finora indicano che:

“l’accesso al Centro dati del ministero dell’Interno” avveniva in due modi: attraverso un virus informatico (Rat) che “l’organizzazione ha inserito nei relativi server” e “grazie all’infiltrazione” di persone di fiducia all’interno del gruppo di lavoro che ha realizzato quell’infrastruttura informatica e che si occupa anche della sua manutenzione. “Abbiamo fortuna”, si sente dire nell’intercettazione, il che “ancora per poco per noi è un vantaggio enorme. Abbiamo quattro anni e mezzo di vantaggio su tutti perché i miei hanno la manutenzione. Nel frattempo, scarichiamo più dati possibile”. (Sky TG24).

Quello che possiamo apprendere è, quindi, che la società indagata sia riuscita ad inserire software malevoli all’interno del perimetro del Ministero, proprio perché coloro che si occupavano della stessa infrastruttura erano direttamente coinvolti nell’attività criminale.

Si tratta quindi di un attacco hacker o piuttosto di spionaggio?

Definireste un genio della finanza una persona che si arricchisce sui mercati sfruttando uno schema di insider trading, accedendo in anticipo a informazioni riservate che influenzano le valutazioni azionarie?

Attacco Hacker vs. Spionaggio Interno: Una Distinzione Necessaria

Nel linguaggio comune, spesso si tende a etichettare come “attacco hacker” qualsiasi evento in cui dati sensibili vengono rubati o manipolati tramite mezzi digitali. Tuttavia, in realtà, esiste una differenza importante tra un attacco esterno da parte di hacker e un’operazione di spionaggio interno, e comprendere questa distinzione può aiutarci a interpretare meglio casi come quello dell’“Inchiesta Hacker.”

Cos’è un Attacco Hacker?

Un attacco hacker di solito implica che persone esterne all’organizzazione target riescano a penetrare nei suoi sistemi informatici. Questo avviene sfruttando vulnerabilità tecniche nei software o nelle reti, tramite l’uso di malware come trojan, ransomware o altri strumenti creati per compromettere la sicurezza dell’infrastruttura. I cybercriminali che orchestrano questo tipo di attacchi possono trovarsi ovunque nel mondo e non hanno necessariamente contatti con il personale interno. Questi attacchi sono spesso sofisticati, avvengono senza la collaborazione dell’organizzazione e sono progettati per evitare il rilevamento.

Cos’è lo Spionaggio Interno?

Lo spionaggio interno, invece, è una minaccia diversa, ma altrettanto pericolosa. Qui non si tratta di attori esterni che cercano di “hackerare” i sistemi, bensì di persone all’interno dell’organizzazione o con accesso privilegiato che abusano della loro posizione per accedere a dati sensibili. In questo caso, le tecniche usate non richiedono una violazione diretta delle difese informatiche: chi commette l’atto ha già le credenziali e i permessi necessari per entrare nei sistemi. Ad esempio, dipendenti, consulenti o collaboratori di terze parti che hanno accesso autorizzato possono agire da “insider” e utilizzare i dati a cui hanno già accesso per scopi illeciti.

Perché la Distinzione è Importante?

La distinzione tra attacco hacker e spionaggio interno non è solo una questione tecnica, ma anche legale e investigativa. Mentre un attacco hacker esterno richiede strumenti difensivi avanzati come firewall, sistemi di rilevamento delle intrusioni e monitoraggio continuo, lo spionaggio interno necessita di un approccio diverso. In questi casi, le organizzazioni devono concentrarsi su politiche di sicurezza come il controllo degli accessi, la segmentazione delle autorizzazioni e il monitoraggio delle attività dei dipendenti con accesso a informazioni sensibili.

Serve informazione, non propaganda

In Italia, come sappiamo, tenere il passo con la rapida e continua evoluzione tecnologica è una sfida complessa. Ciò che vogliamo sottolineare è che la diffusione di informazioni errate porta troppo spesso a un sensazionalismo vuoto e a commenti retorici privi di analisi concreta.

Per mettere in moto un cambiamento che permetta al nostro Paese di avanzare in ambito tecnologico e – di conseguenza – di rafforzare la propria sicurezza informatica, è essenziale informare, non allarmare.

Le aziende, i CISO e tutti i professionisti delle tecnologie devono avere consapevolezza sia dei rischi reali, sia delle best practice più efficaci per prevenirli. Analizzare gli attacchi informatici subiti da altre organizzazioni e imparare dalle loro esperienze (lessons learnt) è fondamentale.

Come possiamo però riuscirci, se gli attacchi informatici in Italia vengono costantemente mistificati e mai analizzati in modo trasparente?